Açık kaynak yazılım tedarikçisi Chainguard, kurumların uygulama kodundaki istismar edilebilir güvenlik açıklarını bulmak ve düzeltmek için Anthropic'in Claude Mythos 5.1 gibi öncü yapay zekâ modellerini kullanan Chainguard Harness'i 14 Ekim 2026'da duyurdu. Şirket, hizmeti Anthropic'in Claude Marketplace platformu üzerinden satışa sunuyor. Böylece müşterilerin bu modellere kendi erişimleri olmadan açık avından yararlanabileceğini söylüyor.
Harness ilk aşamada müşterinin kendi başına çalıştırdığı bir araç olarak gelmiyor. Chainguard mühendisleri sistemi müşteriler adına işletiyor ve hizmete erişim beta bekleme listesi üzerinden açılıyor.
Statik taramadan çalışan uygulamaya
Chainguard'a göre öncü modeller istismar edilebilir açıkları bulma ve bunları zincirleme konusunda belirgin biçimde etkili hale geldi, ancak bu modellerin hem şirket içi hem açık kaynak kodda açık keşfi için kullanımı büyük ölçüde kritik altyapıda savunma amaçlı güvenlik çalışması yapan sınırlı bir grupla kaldı. Şirket, geleneksel tarayıcıların ise yalnız statik kodu incelediğini, hiçbir zaman erişilemeyecek sorunları işaretlediğini ve uygulama gerçekten çalışırken ortaya çıkan mantık hatalarını, enjeksiyon yollarını ve kaynak tüketme hatalarını kaçırdığını savunuyor. Sonuçta mühendislerin doğrulanmamış uyarıları ayıklamak ve kendi yamalarını yazmak için saatler harcadığını belirtiyor.
Harness bu sorunu uygulamayı canlı halde test ederek ele alıyor. Sistem, Guardener adlı GitHub uygulamasıyla ekibin kod deposuna bağlanıyor, uygulamayı kullanıma çıktığı biçimiyle derliyor ve izole bir mikro sanal makinede başlatıyor. Ardından öncü model, çalışan bu kopyayı bir saldırganın yapacağı gibi bağlamı içinde yokluyor. Chainguard OS üzerinde kaynaktan kurulan her çalıştırma ortamının dışarıya ağ çıkışı bulunmuyor, içinde kimlik bilgisi tutulmuyor ve tüm adımlar denetim kaydına geçiyor.
Bulgular yeniden üretilerek eleniyor
Modelin işaretlediği her bulgu, temiz ve izole yeni bir ortamda her seferinde tekrar edene kadar yeniden oynatılıyor. Chainguard bu adımın yanlış pozitifleri ve gereksiz güvenlik uyarılarını azalttığını, ekiplerin yalnız kanıtlanmış açıkları gördüğünü söylüyor. Doğrulanan açık için müşteriye tekrar üretim adımları ve o kod tabanına özel yazılmış bir düzeltme önerisi iletiliyor. Öneriler hem şirketin kendi kodunu hem açık kaynak bağımlılıkları kapsıyor ve her düzeltme ile rapor müşteriye ulaşmadan önce bir Chainguard mühendisi tarafından inceleniyor ve onaylanıyor.
Açık kaynak projelerde bulunan açıklar, Chainguard'ın koordineli açık bildirim süreci Athena aracılığıyla projelerin bakımcılarına iletiliyor. Şirketin CEO'su ve kurucu ortağı Dan Lorenc, Harness'i yönelttikleri her kodda ciddi ve istismar edilebilir açıklar bulduklarını, buna defalarca taranmış yazılımların ve kritik altyapıyı çalıştıran kodların da dahil olduğunu söylüyor. Lorenc'e göre bu yetenek giderek daha fazla kuruma yayılıyor ve önce davranan ekipler açıkları olaya dönüşmeden kapatabilecek.
İlk aşamada iki ayrı hizmet biçimi
Lansman döneminde Chainguard mühendisleri Harness'i iki şekilde kullanıyor. Birincisinde sistemi Chainguard'ın halihazırda dağıttığı güvenilir açık kaynak yazılım paketleri üzerinde çalıştırıyor ve yamalanmış sürümleri Chainguard Repository üzerinden sunuyor. İkincisinde müşterinin kaynak kodunu tarıyor ve mühendis incelemesinden geçmiş, doğrulanmış bulguları içeren bir rapor teslim ediyor. Bu raporda her bulgunun ciddiyet derecesi, etkisi, tekrar üretim adımları ve önerilen düzeltme yer alıyor.
Anthropic taahhüdüyle satın alma
Claude Marketplace üzerinden sunulması, kurumların Harness'i Anthropic ile mevcut harcama taahhütlerinin bir kısmını kullanarak satın alabilmesi anlamına geliyor. Faturalamayı Anthropic yönetiyor. Bu sayede Anthropic müşterileri ayrı bir tedarik süreci başlatmadan hizmeti ekleyebiliyor ve yapay zekâ harcamalarını tek kalemde toplayabiliyor.
Anthropic'te ticari siber güvenlikten sorumlu Daniela Hurtado, Claude Mythos 5.1 gibi modellerin yıllardır fark edilmemiş açıkları ortaya çıkarabildiğini, bu nedenle yeteneğin nasıl kullanıma sunulduğunun yeteneğin kendisi kadar önem taşıdığını söylüyor. Hurtado, Harness'in modeli izolasyon, yeniden üretim ve insan incelemesiyle çevrelediğini ve her bulgunun müşteriye ulaşmadan doğrulandığını ifade ediyor.
Seattle merkezli Chainguard, mühendislere ve yapay zekâ ajanlarına güçlendirilmiş, üretime hazır açık kaynak yazılım bileşenleri sağlıyor. Şirketin müşterileri arasında Anduril, Canva, DocuSign, OpenAI ve Snowflake bulunuyor. Chainguard'ı destekleyen girişim sermayesi yatırımcıları arasında Sequoia Capital, Kleiner Perkins ve Lightspeed Venture Partners yer alıyor.
